Un piratage informatique se traite d’abord comme un incident à contenir, pas comme une panne à réparer dans la précipitation. Isolez l’appareil touché du réseau, conservez les traces et utilisez un équipement sain pour reprendre le contrôle des comptes.
Pour être orienté, adressez-vous à Cybermalveillance.gouv.fr ; en cas de fraude bancaire, appelez aussi votre banque sans attendre. Une entreprise doit prévenir son prestataire informatique et son assureur cyber, puis évaluer si des données personnelles ont été exposées.
Le bon interlocuteur dépend de la situation : compte personnel compromis, rançongiciel dans une PME ou fuite de données n’appellent pas les mêmes démarches. Le fil conducteur est simple : limiter la propagation, garder des preuves, puis demander l’assistance adaptée.
Réinitialiser un ordinateur ou supprimer un courriel suspect peut sembler rassurant, mais risque d’effacer des éléments utiles au diagnostic et à une plainte.
En bref : les premiers réflexes après un piratage informatique
- Déconnectez l’appareil compromis du Wi-Fi et du réseau filaire. Pour un poste professionnel, contactez d’abord le responsable informatique si vous le pouvez.
- Notez l’heure de découverte, photographiez les messages affichés et gardez les courriels suspects dans leur format d’origine.
- Depuis un appareil sain, sécurisez les comptes touchés et lancez le changement de mot de passe, en commençant par la messagerie principale.
- Contactez votre banque en cas d’opération suspecte et utilisez Cybermalveillance.gouv.fr pour être orienté.
- En entreprise, examinez rapidement les obligations de signalement, notamment auprès de la CNIL si des données personnelles sont concernées.
Que faire dans les premières minutes d’une cyberattaque ?
La priorité est d’empêcher l’incident de gagner d’autres équipements. Débranchez le câble réseau et désactivez le Wi-Fi de la machine touchée.
Si plusieurs postes sont concernés, n’improvisez pas une remise en route : prévenez la personne responsable du système d’information ou le prestataire qui assure l’assistance informatique.
Ne réinitialisez pas l’appareil et ne supprimez pas les fichiers suspects avant d’avoir demandé conseil. Dans une attaque par rançongiciel, l’isoler du réseau limite les échanges avec d’autres postes et serveurs. L’éteindre peut faire disparaître des informations utiles à l’analyse ; si le chiffrement semble encore actif, demandez rapidement l’avis d’un professionnel plutôt que de multiplier les manipulations.
Consignez les faits dans l’ordre : heure de détection, écran ou message observé, comptes utilisés et actions déjà effectuées. Cette chronologie sera utile au diagnostic, à l’assureur et aux forces de l’ordre. Une capture d’écran ne remplace pas le fichier original, mais elle peut documenter un message qui disparaîtrait ensuite.
Pour un compte piraté, la logique diffère de celle d’un ordinateur infecté. Depuis un appareil réputé sain, changez le mot de passe, déconnectez les sessions ouvertes si le service le permet et activez la double authentification. Si la messagerie est compromise, vérifiez aussi les règles de transfert et les coordonnées de récupération : un pirate peut les modifier pour conserver un accès discret.
Qui contacter selon le type de piratage informatique ?
Pour un particulier, Cybermalveillance.gouv.fr constitue un point d’orientation utile : la plateforme décrit des démarches selon l’incident et peut diriger vers des professionnels référencés. En cas de débit ou de paiement suspect, la banque passe avant les autres appels. Utilisez le numéro officiel de l’établissement, indiqué sur sa carte ou son site, plutôt qu’un numéro reçu dans un message.
Une entreprise doit prévenir son prestataire informatique, son responsable sécurité et, si elle en dispose, son assureur cyber. Pour un incident important touchant une organisation sensible ou un service essentiel, les canaux de l’ANSSI et du CERT-FR peuvent être pertinents ; ils ne remplacent pas le support de proximité pour chaque infection de poste. Les CSIRT régionaux peuvent aussi orienter certaines entreprises et collectivités. Vérifiez les modalités auprès de votre région et de Cybermalveillance.gouv.fr.
| Situation | Premier interlocuteur | Geste associé |
|---|---|---|
| Fraude bancaire | Banque | Faire opposition et contester les opérations selon la procédure indiquée |
| Compte ou appareil personnel compromis | Cybermalveillance.gouv.fr | Préserver les preuves et sécuriser le compte depuis un appareil sain |
| Incident dans une PME | Responsable informatique ou prestataire | Isoler les équipements et évaluer les systèmes touchés |
| Contenu illicite en ligne | PHAROS | Effectuer un signalement sur le portail officiel |
Le phishing mérite une réaction particulière : si un lien a été ouvert ou des identifiants saisis, changez les accès depuis un autre appareil et prévenez l’organisme imité si une transaction ou une donnée sensible est en jeu. Pour un problème d’accès à une messagerie, ces conseils sur la récupération d’un compte Yahoo Mail peuvent aider à distinguer une perte d’accès d’une compromission.
Preuves, plainte et signalement : ne pas confondre les démarches
Un signalement sert à porter une situation à la connaissance d’un service compétent ; une plainte demande une réponse judiciaire à une infraction. Selon les faits, la victime peut se rendre au commissariat ou à la gendarmerie. THESEE permet de traiter en ligne certaines escroqueries sur internet, mais ne couvre pas tous les types de piratage informatique. Cybermalveillance.gouv.fr peut aider à préparer les démarches, sans se substituer aux autorités.
Rassemblez les courriels frauduleux, captures d’écran, relevés bancaires concernés et journaux de connexion disponibles. Gardez les messages d’origine lorsque c’est possible, car les détails techniques peuvent aider à comprendre leur provenance. Si vous êtes une entreprise, notez aussi les postes et services affectés, les sauvegardes disponibles et les mesures déjà prises.
Une fuite de données personnelles impose une évaluation spécifique. Lorsqu’un organisme constate une violation susceptible d’engendrer un risque pour les personnes, le RGPD prévoit une notification à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Le délai ne s’applique pas indistinctement à toute cyberattaque : il concerne les violations de données personnelles et la notification dépend du niveau de risque. Documentez l’analyse, même si la décision est de ne pas notifier.
Pour mieux comprendre les menaces et préparer une réponse adaptée, consultez ce panorama des menaces en cybersécurité. La plainte et le signalement ne récupèrent pas automatiquement les données, mais ils établissent les faits et peuvent soutenir les démarches d’assurance ou d’enquête.
Rançongiciel : contenir l’incident avant de restaurer
Quand des fichiers deviennent illisibles et qu’une demande de paiement apparaît, ne payez pas dans la précipitation. Le paiement ne garantit ni le déchiffrement ni la suppression des données volées. Isolez les machines touchées, contactez l’équipe informatique ou un spécialiste, puis vérifiez si une sauvegarde saine est disponible. Des outils de déchiffrement sont parfois proposés par le projet No More Ransom pour certaines familles de rançongiciels.
La restauration ne doit pas commencer tant que l’origine de l’intrusion et l’étendue de l’attaque ne sont pas évaluées. Une sauvegarde encore connectée au réseau peut avoir été chiffrée elle aussi. Dans une PME de mécanique, par exemple, restaurer un serveur sans vérifier les comptes administrateurs compromis pourrait remettre en service le même accès utilisé lors de l’attaque. Le nettoyage et la reprise doivent donc être coordonnés.
Une sauvegarde des données n’est utile que si elle peut être restaurée. Gardez une copie séparée du réseau de production et testez régulièrement la récupération de quelques fichiers, puis d’un service complet. La règle dite « 3-2-1 » est un repère de conception, pas une garantie automatique : les droits d’accès, la fréquence des copies et leur déconnexion comptent autant que leur nombre.
Après l’urgence : renforcer la protection des comptes et des systèmes
Une fois les accès repris, remplacez les mots de passe réutilisés, activez l’authentification à plusieurs facteurs et examinez les sessions actives. Commencez par la messagerie, car elle sert souvent à réinitialiser les autres comptes. Pour les équipements connectés d’une entreprise, la segmentation réseau évite qu’un poste bureautique compromis atteigne directement les systèmes de production.
Ne confiez pas toute la cybersécurité à un antivirus. Les mises à jour, les comptes individuels, les droits limités et la vérification des sauvegardes forment une chaîne. Une faiblesse sur un seul maillon suffit parfois à rendre les autres mesures moins utiles. Les recommandations de sécurité pour les systèmes IoT aident à appliquer cette logique aux appareils connectés.
Pour un particulier, quelques vérifications concrètes valent mieux qu’une longue liste de réglages oubliés : adresse de récupération à jour, double authentification activée, mots de passe distincts et alertes de connexion examinées. En entreprise, attribuez un responsable à chaque action et consignez les décisions. La mesure la plus simple à tester cette semaine : restaurer un fichier depuis la sauvegarde, au lieu de supposer qu’elle fonctionnera le jour de l’incident.
Qui contacter en premier après un piratage informatique ?
Isolez d’abord l’équipement concerné et contactez Cybermalveillance.gouv.fr pour être orienté. En cas de fraude bancaire, appelez immédiatement votre banque. En entreprise, prévenez également le responsable informatique ou le prestataire.
Faut-il éteindre un ordinateur infecté ?
Déconnectez-le du réseau, mais évitez de l’éteindre ou de le réinitialiser sans avis technique : certaines traces utiles au diagnostic peuvent disparaître. En cas de chiffrement en cours, demandez rapidement l’aide d’un professionnel.
Comment déposer plainte pour une cyberattaque ?
Vous pouvez vous adresser à la police ou à la gendarmerie. THESEE traite certaines escroqueries en ligne, mais pas tous les incidents. Préparez une chronologie et conservez les preuves disponibles.
Quand une entreprise doit-elle prévenir la CNIL ?
Si une violation concerne des données personnelles et présente un risque pour les personnes, l’organisme doit notifier la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance.